Meine ersten Deployments · 6.1
Lokaler Zertifikatsspeicher
Auf dieser Seite
Dieses Beispiel verteilt ein Zertifikat in den Zertifikatsspeicher LocalMachine\My eines entfernten Windows-Servers. Das grundsätzliche Vorgehen ist für alle Deployment-Typen gleich; nur die Einstellungen des verknüpften Dienstes unterscheiden sich. Der Management-Host muss den Server über WinRM erreichen, siehe Kapitel Netzwerkverbindungen.
- Öffnen Sie den Tab Deployments des Zertifikats: Ein Doppelklick auf das Zertifikat in der Liste öffnet diesen Tab direkt. Alternativ klicken Sie mit der rechten Maustaste auf das Zertifikat, wählen Modify… und öffnen den Tab Deployments.
- Schalten Sie Automatic deployment ein und klicken Sie auf Add… Sie können einem Zertifikat mehrere Deployments hinzufügen.
- Linked service: Wählen Sie Certificate store only.
- Target host: Geben Sie den Namen oder die IP-Adresse des Servers ein oder klicken Sie auf Browse…, um ihn im Active Directory auszuwählen. Für den Management-Host selbst klicken Sie auf Localhost.
- Credential: Wählen Sie ein WinRM-Credential. Gibt es noch keines, klicken Sie auf Manage…, im Credentials Manager auf Add… und erstellen ein Credential vom Typ Windows WinRM (remote IIS / store). Geben Sie einen Display name, den User name im Format DOMAIN\user, DOMAIN\acct$ oder .\Administrator und das Password ein. Klicken Sie auf Save und schliessen Sie den Credentials Manager. Das Credential wird dann automatisch ausgewählt. Statt eines Benutzerkontos können Sie ein Group Managed oder Delegated Managed Service Account verwenden, das kein Passwort braucht, siehe Kapitel Managed Service Accounts verwenden. Für Localhost ist kein Credential nötig. Liegt der Server nicht in derselben Domain wie der Management-Host, zeigt der Tab Helper, wie Sie WinRM konfigurieren, siehe Schritt 9.
- Reload command (optional): Ab der Enterprise-Edition können Sie PowerShell-Befehle eingeben, die ausgeführt werden, nachdem das Zertifikat in den Speicher geschrieben wurde, zum Beispiel um es in weitere Pfade zu kopieren oder an Dienste zu binden. Mehrere Zeilen sind möglich.
- Windows service name (optional): Geben Sie die internen Namen der Windows-Dienste ein, die nach den Reload-Befehlen neu gestartet werden sollen, getrennt durch Kommas. Die Dienste werden nur neu gestartet, wenn die Reload-Befehle erfolgreich gelaufen sind. Verwenden Sie den Dienstnamen aus den Eigenschaften in services.msc, nicht den Anzeigenamen.
- Klicken Sie auf Test (dry run)… TLSPilot prüft, ob das Deployment funktionieren würde, zum Beispiel ob das Credential gültig ist. Meldet der Test einen Fehler, korrigieren Sie die Einstellungen und wiederholen den Test.
- Helper (optional): Der Tab Helper zeigt, ob alles für das Deployment bereit ist, welche minimalen Berechtigungen das Konto braucht und wie Sie WinRM für Server ausserhalb Ihrer Domain konfigurieren. Show flow visualization zeigt, was beim Einrichten, beim ersten Deployment und bei jeder Erneuerung geschieht.
- Klicken Sie auf OK und dann auf Save. Auf die Frage, ob jetzt verteilt werden soll, klicken Sie auf Yes. Mit No wird das Zertifikat im nächsten täglichen Zyklus verteilt.
TLSPilot verteilt das Zertifikat, führt die Reload-Befehle aus, startet die Dienste neu und prüft danach die Health. Klicken Sie auf Close, sobald das Deployment abgeschlossen ist. Sie können jedes Deployment einzeln aktivieren oder deaktivieren oder es jederzeit starten, indem Sie es auswählen und auf Deploy… klicken.
Bevor TLSPilot ein Zertifikat ersetzt, liest es aus, welches Zertifikat auf dem Ziel aktuell gebunden ist. Bei IIS, RDS, SQL Server, NPS und AD FS zeigt das Ergebnis des Deployments dieses Zertifikat als Previous thumbprint. Lässt sich das Ziel nicht lesen, zeigt TLSPilot das Zertifikat, das vor diesem Deployment aktiv war, sofern es bekannt ist. Bei Windows-Zielen zeigen das Ergebnis, der Testlauf und der Tab Health & History zusätzlich auf einer eigenen Zeile die verwendete WinRM-Verbindung, zum Beispiel WinRM over HTTPS (5986), siehe Kapitel WinRM innerhalb der Domain. Die Desktop Admin Console, die WebUI und der PDF-Bericht zeigen dieselben Informationen.
